6.4 Postępowanie dyscyplinarne
W skrócie: naruszenie polityki bezpieczeństwa ma przewidywalne konsekwencje, a proces dyscyplinarny jest sprawiedliwy i znany wszystkim z góry.
Cel: zapewnienie, że personel rozumie konsekwencje naruszenia polityki bezpieczeństwa, zniechęcenie do naruszeń i właściwe postępowanie z osobami, które je popełniły.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Corrective (korygujące) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona), #Respond (reagowanie) |
| Zdolności operacyjne | #Human_resource_security (bezpieczeństwo zasobów ludzkich) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Proces dyscyplinarny uruchamia się dopiero po potwierdzeniu, że doszło do naruszenia.
- Reakcja jest stopniowana i uwzględnia m.in.: charakter i wagę naruszenia oraz jego skutki, to, czy było celowe czy przypadkowe, czy jest pierwsze czy powtarzające się, oraz czy osoba była właściwie przeszkolona.
- Proces uwzględnia wymagania prawne, umowne i biznesowe.
- Ma też charakter zapobiegawczy — zniechęca do naruszeń. Przy celowym, poważnym naruszeniu możliwe są natychmiastowe działania.
- Tożsamość osób objętych postępowaniem chroni się zgodnie z obowiązującymi wymaganiami.
- Norma wspomina też o drugiej stronie: osoby wyróżniające się dobrymi praktykami bezpieczeństwa mogą być nagradzane.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Katalog konsekwencji powiązany z przepisami Kodeksu pracy (kary porządkowe, rozwiązanie umowy) i z warunkami umów B2B.
- Dowody naruszenia zabezpieczone tak, jak opisuje 5.28 — sprawa przed sądem pracy wymaga ich wiarygodności.
- Rozróżnienie błędu od złej woli: pracownik, który kliknął w phishing i od razu to zgłosił, nie powinien być karany — inaczej następnym razem nie zgłosi.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.6.4 — wykaz zabezpieczeń dotyczących ludzi.
- Pokrewne zabezpieczenia: 6.2 Warunki zatrudnienia, 5.28 Gromadzenie dowodów, 6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji.
- ISO/IEC 27002:2013: 7.2.3.